Configurer des certificats SSL/TLS

Cette page explique comment appliquer le chiffrement SSL/TLS pour une instance afin de vous assurer que toutes les connexions sont chiffrées. Vous pouvez également en savoir plus sur la façon dont Cloud SQL utilise des certificats SSL/TLS autogérés pour se connecter en toute sécurité aux instances Cloud SQL.

Présentation

Cloud SQL crée automatiquement un certificat de serveur lors de la création d'une instance. Nous vous recommandons d'appliquer toutes les connexions afin qu'elles utilisent le chiffrement SSL/TLS.

SQL Server effectue uniquement la vérification du certificat lorsque la requête du client spécifie explicitement qu'elle nécessite une connexion chiffrée. Dans ce cas, le certificat de serveur doit être installé sur la machine cliente. Sinon, les clients peuvent se connecter librement sans modification de leurs chaînes de connexion ou certificats, même si sslMode est défini sur ENCRYPTED_ONLY sur l'instance.

Pour en savoir plus, consultez la section Activer les connexions chiffrées à la base de données Database Engine dans la documentation SQL Server.

Si vous appliquez le protocole SSL à une instance, celle-ci doit être redémarrée. Un redémarrage peut également être nécessaire après avoir modifié les certificats SSL/TLS. Lorsqu'un redémarrage est nécessaire, Cloud SQL le redémarre automatiquement pour vous. Le redémarrage d'une instance peut entraîner un temps d'arrêt.

Appliquer le chiffrement SSL/TLS

Vous pouvez utiliser le paramètre Mode SSL pour appliquer le chiffrement SSL des manières suivantes :

  • Autoriser à la fois les connexions non-SSL/non-TLS et SSL/TLS. Il s'agit de l'option par défaut.

  • Autoriser uniquement les connexions chiffrées avec SSL/TLS.

Si vous sélectionnez Autoriser les connexions non-SSL/non-TLS et SSL/TLS pour votre instance Cloud SQL, les connexions SSL/TLS, ainsi que les connexions non chiffrées et non sécurisées, sont acceptées. Si vous n'exigez pas SSL/TLS pour toutes les connexions, les connexions non chiffrées sont toujours autorisées. Par conséquent, si vous accédez à votre instance à l'aide d'une adresse IP publique, nous vous recommandons vivement d'appliquer le protocole SSL à toutes les connexions.

Vous pouvez vous connecter directement aux instances à l'aide de certificats SSL/TLS, ou vous pouvez vous connecter à l'aide du proxy d'authentification Cloud SQL ou des connecteurs Cloud SQL. Si vous vous connectez à l'aide du proxy d'authentification Cloud SQL ou de connecteurs Cloud SQL, les connexions sont automatiquement chiffrées avec SSL/TLS. Avec le proxy d'authentification Cloud SQL et les connecteurs Cloud SQL, les identités client et serveur sont également validées automatiquement, quel que soit le paramètre de mode SSL.

L'application du protocole SSL garantit que toutes les connexions sont chiffrées.

Pour activer l'exigence SSL/TLS, procédez comme suit :

Console

  1. Dans la console Google Cloud, accédez à la page Instances Cloud SQL.

    Accéder à la page Instances Cloud SQL

  2. Pour ouvrir la page Présentation d'une instance, cliquez sur son nom.
  3. Dans le menu de navigation SQL, sélectionnez Connexions.
  4. Cliquez sur l'onglet Sécurité.
  5. Sélectionnez l'une des options suivantes :
    • Autoriser le trafic réseau non chiffré (non recommandé)
    • Autoriser uniquement les connexions SSL. Cette option n'autorise que les connexions utilisant le chiffrement SSL/TLS.

gcloud

   gcloud sql instances patch INSTANCE_NAME \
   --ssl-mode=SSL_ENFORCEMENT_MODE

Remplacez SSL_ENFORCEMENT_MODE par l'un des éléments suivants :

  • ALLOW_UNENCRYPTED_AND_ENCRYPTED autorise les connexions non-SSL/non-TLS et SSL/TLS. Il s'agit de la valeur par défaut.
  • ENCRYPTED_ONLY autorise uniquement les connexions chiffrées avec SSL/TLS.

Terraform

Pour appliquer le chiffrement SSL/TLS, utilisez une ressource Terraform : 

resource "google_sql_database_instance" "sqlserver_instance" {
  name             = "sqlserver-instance"
  region           = "asia-northeast1"
  database_version = "SQLSERVER_2019_STANDARD"
  root_password    = "INSERT-PASSWORD-HERE"
  settings {
    tier = "db-custom-2-7680"
    ip_configuration {
      ssl_mode = "ENCRYPTED_ONLY"
    }
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Appliquer les modifications

Pour appliquer votre configuration Terraform dans un projet Google Cloud, suivez les procédures des sections suivantes.

Préparer Cloud Shell

  1. Lancez Cloud Shell.

  2. Définissez le projet Google Cloud par défaut dans lequel vous souhaitez appliquer vos configurations Terraform.

    Vous n'avez besoin d'exécuter cette commande qu'une seule fois par projet et vous pouvez l'exécuter dans n'importe quel répertoire.

    export GOOGLE_CLOUD_PROJECT=PROJECT_ID

    Les variables d'environnement sont remplacées si vous définissez des valeurs explicites dans le fichier de configuration Terraform.

Préparer le répertoire

Chaque fichier de configuration Terraform doit avoir son propre répertoire (également appelé module racine).

  1. Dans Cloud Shell, créez un répertoire et un nouveau fichier dans ce répertoire. Le nom du fichier doit comporter l'extension .tf, par exemple main.tf. Dans ce tutoriel, le fichier est appelé main.tf. 
    mkdir DIRECTORY && cd DIRECTORY && touch main.tf

  2. Si vous suivez un tutoriel, vous pouvez copier l'exemple de code dans chaque section ou étape.

    Copiez l'exemple de code dans le fichier main.tf que vous venez de créer.

    Vous pouvez également copier le code depuis GitHub. Cela est recommandé lorsque l'extrait Terraform fait partie d'une solution de bout en bout.

  3. Examinez et modifiez les exemples de paramètres à appliquer à votre environnement.
  4. Enregistrez les modifications.
  5. Initialisez Terraform. Cette opération n'est à effectuer qu'une seule fois par répertoire. 
    terraform init

    Vous pouvez également utiliser la dernière version du fournisseur Google en incluant l'option -upgrade : 

    terraform init -upgrade

Appliquer les modifications

  1. Examinez la configuration et vérifiez que les ressources que Terraform va créer ou mettre à jour correspondent à vos attentes : 
    terraform plan

    Corrigez les modifications de la configuration si nécessaire.

  2. Appliquez la configuration Terraform en exécutant la commande suivante et en saisissant yes lorsque vous y êtes invité : 
    terraform apply

    Attendez que Terraform affiche le message "Apply completed!" (Application terminée).

  3. Ouvrez votre projet Google Cloud pour afficher les résultats. Dans la console Google Cloud, accédez à vos ressources dans l'interface utilisateur pour vous assurer que Terraform les a créées ou mises à jour.

Supprimer les modifications

Pour supprimer vos modifications, procédez comme suit :

  1. Pour désactiver la protection contre la suppression, définissez l'argument deletion_protection sur false dans le fichier de configuration Terraform. 
    deletion_protection =  "false"
  2. Appliquez la configuration Terraform mise à jour en exécutant la commande suivante et en saisissant yes lorsque vous y êtes invité : 
    terraform apply

  1. Supprimez les ressources précédemment appliquées à votre configuration Terraform en exécutant la commande suivante et en saisissant yes à la requête :

    terraform destroy

REST v1

  1. Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

    • PROJECT_ID : ID du projet.
    • SSL_ENFORCEMENT_MODE : utilisez l'une des options suivantes :
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED : autorise les connexions non-SSL/non-TLS et SSL/TLS.
      • ENCRYPTED_ONLY : autorise uniquement les connexions chiffrées avec SSL/TLS.
    • INSTANCE_ID : ID de l'instance.

    Méthode HTTP et URL :

    PATCH https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID

    Corps JSON de la requête :

    
{
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Pour envoyer votre requête, développez l'une des options suivantes :

    Vous devriez recevoir une réponse JSON de ce type :

REST v1beta4

  1. Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

    • PROJECT_ID : ID du projet.
    • SSL_ENFORCEMENT_MODE : utilisez l'une des options suivantes :
      • ALLOW_UNENCRYPTED_AND_ENCRYPTED : autorise les connexions non-SSL/non-TLS et SSL/TLS.
      • ENCRYPTED_ONLY : autorise uniquement les connexions chiffrées avec SSL/TLS.
    • INSTANCE_ID : ID de l'instance.

    Méthode HTTP et URL :

    PATCH https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID

    Corps JSON de la requête :

    {
  "settings": {
    "ipConfiguration": {"sslMode": "SSL_ENFORCEMENT_MODE"}
  }
}

    Pour envoyer votre requête, développez l'une des options suivantes :

    Vous devriez recevoir une réponse JSON de ce type :

Certificats du serveur

Cloud SQL crée automatiquement un certificat de serveur lors de la création d'une instance. Tant que celui-ci est valide, vous n'avez pas besoin de gérer activement le certificat du serveur. Cloud SQL vous permet de choisir entre deux hiérarchies d'autorités de certification (CA) différentes. La hiérarchie d'autorité de certification que vous sélectionnez devient le mode d'autorité de certification du serveur de l'instance. Si vous utilisez une autorité de certification par instance comme mode d'autorité de certification de serveur pour votre instance, les certificats de serveur ont une date d'expiration de 10 ans. Si vous utilisez une autorité de certification partagée comme mode d'autorité de certification du serveur de votre instance (Preview), le certificat du serveur expirera dans un an. Après la date d'expiration, le certificat du serveur n'est plus valide et les clients ne peuvent plus établir de connexion sécurisée avec votre instance à l'aide de ce certificat. Si un client est configuré pour vérifier l'autorité de certification ou le nom d'hôte dans le certificat du serveur, ses connexions aux instances Cloud SQL dont les certificats de serveur ont expiré échoueront. Pour éviter toute interruption des connexions client, effectuez une rotation du certificat de serveur avant son expiration. Vous êtes régulièrement informé que le certificat du serveur approche de la date d'expiration. Les notifications sont envoyées les nombres de jours suivants avant la date d'expiration: 90, 30, 10, 2 et 1.

Vous pouvez obtenir des informations sur votre certificat de serveur, telles que sa date de création et d'expiration. Avant la date d'expiration, vous pouvez en créer une manuellement.

Console

  1. Dans la console Google Cloud, accédez à la page Instances Cloud SQL.

    Accéder à la page Instances Cloud SQL

  2. Pour ouvrir la page Présentation d'une instance, cliquez sur son nom.
  3. Dans le menu de navigation SQL, sélectionnez Connexions.
  4. Cliquez sur l'onglet Sécurité.
  5. Accédez à la section Gérer les certificats de serveur.

    Vous pouvez consulter la date d'expiration de votre certificat de serveur dans le tableau.

gcloud

Pour les instances qui utilisent des certificats serveur autosignés (autorité de certification par instance):

  1. Pour obtenir des informations sur le certificat du serveur, exécutez la commande sql ssl server-ca-certs list: 
    gcloud sql ssl server-ca-certs list \
--instance=INSTANCE_NAME
  2. Pour créer un certificat de serveur, exécutez la commande sql ssl server-ca-certs create: 
    gcloud sql ssl server-ca-certs create \
--instance=INSTANCE_NAME
  3. Téléchargez les informations de certificat sous la forme d'un fichier PEM local : 
    gcloud sql ssl server-ca-certs list \
--format="value(cert)" \
--instance=INSTANCE_NAME > \
FILE_PATH/FILE_NAME.pem
  4. Mettez à jour l'ensemble de vos clients pour qu'ils utilisent les nouvelles informations. Pour cela, copiez le fichier téléchargé vers vos machines hôtes clientes afin de remplacer les fichiers server-ca.pem existants.

Pour les instances qui utilisent des certificats de serveur délivrés par une autorité de certification partagée (Preview):

  1. Pour obtenir des informations sur le certificat du serveur, exécutez la commande beta sql ssl server-certs list: 
    gcloud beta sql ssl server-certs list \
   --instance=INSTANCE_NAME
  2. Pour créer un certificat de serveur, utilisez la commande beta sql ssl server-certs create: 
    gcloud beta sql ssl server-certs create \
   --instance=INSTANCE_NAME
  3. Téléchargez les informations de certificat sous la forme d'un fichier PEM local : 
    gcloud beta sql ssl server-certs list \
   --format="value(ca_cert.cert)" \
   --instance=INSTANCE_NAME > \
   FILE_PATH/FILE_NAME.pem
  4. Mettez à jour l'ensemble de vos clients pour qu'ils utilisent les nouvelles informations. Pour cela, copiez le fichier téléchargé vers vos machines hôtes clientes afin de remplacer les fichiers server-ca.pem existants.

Terraform

Pour fournir des informations de certificat de serveur en tant que sortie, utilisez une source de données Terraform :

  1. Ajoutez le code suivant à votre fichier de configuration Terraform : 
       data "google_sql_ca_certs" "ca_certs" {
     instance = google_sql_database_instance.default.name
   }

   locals {
     furthest_expiration_time = reverse(sort([for k, v in data.google_sql_ca_certs.ca_certs.certs : v.expiration_time]))[0]
     latest_ca_cert           = [for v in data.google_sql_ca_certs.ca_certs.certs : v.cert if v.expiration_time == local.furthest_expiration_time]
   }

   output "db_latest_ca_cert" {
     description = "Latest CA certificate used by the primary database server"
     value       = local.latest_ca_cert
     sensitive   = true
   }
  2. Pour créer le fichier server-ca.pem, exécutez la commande suivante : 
       terraform output db_latest_ca_cert > server-ca.pem

Utiliser des connexions chiffrées

En savoir plus sur la façon dont SQL Server utilise des connexions chiffrées.

À propos de la validation de l'identité des serveurs

La validation de l'identité du serveur dépend de la configuration de la hiérarchie de l'autorité de certification (CA) du serveur de votre instance Cloud SQL.

Si votre instance est configurée pour utiliser l'autorité de certification par instance, la vérification de l'autorité de certification permet également de vérifier l'identité du serveur, car chaque instance dispose d'une autorité de certification unique.

Si votre instance est configurée pour utiliser l'autorité de certification partagée (Preview), vous devez vérifier le nom d'hôte et l'autorité de certification pour valider l'identité du serveur, car les autorités de certification du serveur sont partagées entre les instances.

Si vous disposez d'une autorité de certification par instance, vous ne pouvez effectuer la validation de l'identité du serveur basée sur le nom DNS que pour les instances Private Service Connect.

Si vous disposez d'une autorité de certification partagée (bêta), vous pouvez effectuer une vérification de l'identité du serveur basée sur le nom DNS pour tous les types d'instances, à savoir Private Service Connect, Accès aux services privés et instances IP publiques.

Vous pouvez afficher la hiérarchie de l'autorité de certification configurée pour une instance Cloud SQL en consultant les détails de l'instance.

Pour en savoir plus, consultez Afficher les informations sur l'instance ou la section suivante, Activer la validation de l'identité du serveur.

Activer la validation de l'identité du serveur

Si vous sélectionnez des autorités de certification partagées comme mode d'autorité de certification du serveur de votre instance Cloud SQL (Preview), nous vous recommandons également d'activer la validation de l'identité du serveur. Les instances qui utilisent une autorité de certification partagée comme mode d'autorité de certification du serveur contiennent le nom DNS de l'instance dans le champ SAN (Subject Alternative Name) du certificat du serveur. Vous pouvez obtenir ce nom DNS à l'aide de l'API de recherche d'instance et utiliser la réponse comme nom d'hôte pour la validation de l'identité du serveur. Vous devez configurer la résolution DNS pour le nom DNS.

Pour activer la validation de l'identité du serveur, procédez comme suit:

  1. Récupérez le nom DNS.

    1. Pour afficher des informations récapitulatives sur une instance Cloud SQL, y compris son nom DNS, utilisez la commande gcloud sql instances describe:

      gcloud sql instances describe INSTANCE_NAME \
  --project=PROJECT_ID

      Effectuez les remplacements suivants :

      • INSTANCE_NAME : nom de l'instance Cloud SQL.
      • PROJECT_ID: ID ou numéro de projet du projet Google Cloud contenant l'instance.

    2. Dans la réponse, vérifiez que le nom DNS apparaît. Ce nom a le format suivant:

      INSTANCE_UID.PROJECT_DNS_LABEL.REGION_NAME.sql.goog.

      Exemple :

      1a23b4cd5e67.1a2b345c6d27.us-central1.sql.goog.

  2. Créez l'enregistrement DNS dans une zone DNS. Si vous vous connectez en privé, créez l'enregistrement DNS dans une zone DNS privée du réseau cloud privé virtuel (VPC) correspondant.

  3. Lorsque vous vous connectez à l'instance Cloud SQL pour SQL Server, configurez le nom DNS ou l'adresse IP comme nom d'hôte. Activez ensuite la validation de l'identité du serveur en spécifiant l'indicateur -N pour sqlcmd ou en sélectionnant l'option Encrypt Connection/Encryption (Chiffrer la connexion/Chiffrement) de SSMS.

    Les autres pilotes SQL Server ont des options ou des configurations similaires.

Étape suivante